Na tweeënhalve jaar sinds de publicatie van versie 2.5 is de release van OpenVPN 2.6.0 voorbereid, een pakket voor het opzetten van virtuele privénetwerken dat een versleutelde verbinding tussen twee clientmachines mogelijk maakt of de werking van een gecentraliseerde VPN-server ondersteunt voor gelijktijdig gebruik door meerdere clients. De code van OpenVPN wordt verspreid onder de GPLv2-licentie, en kant-en-klare binaire pakketten worden aangemaakt voor Debian, Ubuntu, CentOS, RHEL en Windows.
Belangrijkste vernieuwingen:
- Ondersteuning voor een onbeperkt aantal verbindingen is verzekerd.
- De kernmodule ovpn-dco is inbegrepen, waardoor de prestaties aanzienlijk worden verbeterd. VPN. De versnelling wordt bereikt door alle operaties voor encryptie, pakketverwerking en het beheer van de communicatielijn naar de Linux-kern te verplaatsen, wat het mogelijk maakt om overhead te vermijden die verbonden is aan contextwisselingen, optimalisatie van de werking mogelijk maakt door directe toegang tot de interne API van de kern en trage gegevensoverdracht tussen de kern en de gebruikersruimte uitsluit (encryptie, decryptie en routering worden uitgevoerd door de module zonder verkeer naar de handler in de gebruikersruimte te sturen).
In uitgevoerde tests in vergelijking met een configuratie op basis van de tun-interface leidde het gebruik van de module aan de client- en serverzijde bij gebruik van de AES-256-GCM-codering tot een toename van de doorvoersnelheid met 8 keer (van 370 Mbit/s naar 2950 Mbit/s). Het gebruik van de module alleen aan de clientzijde resulteerde in een verdrievoudiging van de doorvoersnelheid voor uitgaand verkeer zonder verandering voor inkomend verkeer. Bij gebruik van de module alleen aan de serverzijde steeg de doorvoersnelheid 4 keer voor inkomend verkeer en met 35% voor uitgaand verkeer.
- Er is de mogelijkheid toegevoegd om de TLS-modus met zelfondertekende certificaten te gebruiken (bij gebruik van de optie "--peer-fingerprint" zijn de parameters "--ca" en "--capath" niet nodig, en kan men zonder het draaien van een PKI-server op basis van Easy-RSA of vergelijkbare software).
- In de UDP-server is er een cookie-gebaseerd verbindingsonderhandelingsmodus geïmplementeerd, waarbij de session identifier een cookie op basis van HMAC gebruikt, waardoor de server verificatie kan uitvoeren zonder status te bewaren.
- Ondersteuning voor opbouw met de OpenSSL 3.0-bibliotheek is toegevoegd. De parameter "--tls-cert-profile insecure" is toegevoegd om het minimale beveiligingsniveau van OpenSSL te kiezen.
- Nieuwe beheerscommando's remote-entry-count en remote-entry-get zijn toegevoegd om het aantal externe verbindingen te tellen en hun lijst weer te geven.
- Tijdens het akkoord over sleutels is de meer prioritaire methode voor het verkrijgen van materiaal voor sleutelgeneratie nu het EKM-mechanisme (Exported Keying Material, RFC 5705), in plaats van de specifieke OpenVPN PRF-methode. Voor het gebruik van EKM is de OpenSSL- of mbed TLS 2.18+ bibliotheek vereist.
- Compatibiliteit met OpenSSL in FIPS-modus is gewaarborgd, waardoor OpenVPN kan worden gebruikt op systemen die voldoen aan de beveiligingseisen van FIPS 140-2.
- In mlock is een controle op het reserveren van voldoende geheugen geïmplementeerd. Wanneer er minder dan 100 MB RAM beschikbaar is, wordt de setrlimit()-aanroep gedaan om de limiet te verhogen.
- De optie '--peer-fingerprint' is toegevoegd om de correctheid of binding van het certificaat te controleren op basis van de SHA256-hash van de fingerprint, zonder tls-verify toe te passen.
- Voor scripts is de mogelijkheid van uitgestelde authenticatie geïntroduceerd, geïmplementeerd via de optie '--auth-user-pass-verify'. In scripts en plugins is ondersteuning toegevoegd voor het informeren van de klant over het wachten op authenticatie (pending) bij gebruik van uitgestelde authenticatie.
- De compatibiliteitsmodus (--compat-mode) is toegevoegd, waarmee verbinding kan worden gemaakt met oudere servers die OpenVPN 2.3.x of oudere versies gebruiken.
- In de lijst die via de parameter '--data-ciphers' wordt doorgegeven, is het nu toegestaan om het prefix '?' op te geven voor optionele encrypties die alleen worden ingeschakeld wanneer deze worden ondersteund in SSL-bibliotheek.
- De optie '--session-timeout' is toegevoegd waarmee de maximale sessieduur kan worden beperkt.
- In het configuratiebestand is het toegestaan om een gebruikersnaam en wachtwoord op te geven met de tag <auth-user-pass></auth-user-pass>.
- Er is een mogelijkheid voor dynamische MTU-instellingen voor de client, op basis van MTU-gegevens die door de server zijn doorgegeven. Voor het wijzigen van de maximale MTU-grootte is de optie '--tun-mtu-max' toegevoegd (standaard 1600).
- De parameter '--max-packet-size' is toegevoegd om de maximale grootte van beheerspakketten te definiëren.
- De ondersteuning voor de opstartmodus OpenVPN via inetd is verwijderd. De optie ncp-disable is verwijderd. De opties verify-hash en de modus van statische sleutels zijn verouderd verklaard (enkel TLS is overgebleven). TLS 1.0 en 1.1 zijn als verouderd gemarkeerd (de parameter tls-version-min is standaard ingesteld op 1.2). De ingebouwde implementatie van de pseudo-random number generator (—prng) is verwijderd, gebruik de PRNG-implementatie uit de cryptobibliotheken mbed TLS of OpenSSL. De ondersteuning voor packet filtering PF is stopgezet. Compressie is standaard uitgeschakeld (—allow-compression=no).
- CHACHA20-POLY1305 is toegevoegd aan de standaard cipherlijst.
Bron: opennet.ru
